Cos’è e come funziona l’aggiornamento di Chrome sui cookies

Il 4 febbraio 2020 sarà rilasciata la nuova versione 80.0 di Google Chrome che offrirà una maggiore sicurezza e una migliore velocità nella navigazione. Sul fronte sicurezza, Google si è attivato per richiedere ai siti web di fornire un maggior numero di informazioni riguardo i cookies di terze parti e sul loro utilizzo. In seguito all’aggiornamento, qualora queste informazioni non dovessero essere corrette o esaustive, i cookies verranno disabilitati su Chrome. In futuro questo update vedrà protagonisti anche altri browser come Firefox e Edge.

Cosa sono i cookies e a cosa servono?

Prima di scoprire in cosa consiste nel concreto l’aggiornamento SameSite è importante comprendere cosa sono i cookies. I siti Web in genere integrano servizi esterni per pubblicità, contenuti esterni (video, social, etc…). Tutto ciò è reso possibile tramite i cookies, piccoli file di testo utilizzati per analizzare e archiviare informazioni sul visitatore. Ogni cookie è associato ad un dominio (www.sito.com):

• se il dominio di provenienza del cookie coincide con il sito che viene visitato dall’utente il cookie viene definito “Same-site”;
• se il dominio di provenienza del cookie non coincide con il sito su cui si sta navigando viene definito “Cross-site“.

In cosa consiste l’aggiornamento dei cookies?

Attualmente quando un web developer desidera consentire l’accesso ad un cookie solo da parte del proprio sito, ha la possibilità di inserire all’interno del cookie la dicitura “SameSite=Strict”. Tuttavia Google si è accorto che pochissimi sviluppatori seguono questa best practice, lasciando un gran numero di cookie dello stesso sito (Same-site) inutilmente esposti ad attacchi provenienti da siti esterni. A seguito dell’update, tutti i cookie verranno considerati come interni e dunque non saranno accessibili dall’esterno a meno che lo sviluppatore non utilizzi esplicitamente la dicitura “SameSite = None”. Inoltre, per garantire maggiore sicurezza, sarà obbligatorio aggiungere un attributo Secure (“SameSite = None; Secure”) che vincola i siti esterni a leggere il file utilizzando una connessione criptata (SSL).

Quali impatti ha l’update SameSite sul Digital?

Questo update avrà impatti in primo luogo sui giganti dell’AdTech che raccolgono attraverso i cookies una grande quantità di informazioni per personalizzare gli annunci, ma potrebbe anche mettere in difficoltà i reparti di marketing e web analytics dei brand che basano le loro strategie anche sulla raccolta e l’analisi di questo tipo di dati. Gli effetti più importanti potrebbero essere avvertiti sulla personalizzazione del contenuto del sito (usata da molti e-commerce) e spesso gestita tramite cookie. In particolare, se il sito è suddiviso in più sottodomini.

Ad esempio, se un brand dispone di un sito istituzionale www.miosito.com e di un e-commerce shop.miosito.com che comunicano tra di loro i dati dell’utente tramite i cookie, dovrà chiedere all’IT di aggiornare la configurazione degli stessi.

In caso contrario  potrebbero ad esempio manifestarsi problemi nel mantenimento della sessione (login e impostazioni di lingua) o nel tracciamento dei dati con Google Analytics.

Tieniti aggiornato su tutti gli ultimi update di Google per comprendere in modo corretto l’andamento del tuo sito web in Serp.

Cosa devo fare?

Per evitare malfunzionamenti nel tracciamento di dati e altri comportamenti inattesi su siti che utilizzano cookies Cross-site, è ora necessario verificare che il setting SameSite sia impostato in modo corretto.
Si può effettuare il controllo attraverso gli strumenti per sviluppatori di Chrome, sezione “Applicazioni” in alto, voce “Cookie” dal menu laterale.

È necessario considerare ogni scenario di utilizzo, dunque, di un sito o un’app: dall’utente che navigherà con Chrome 80 a quello che accederà attraverso Safari, ad esempio.

In ambienti aziendali, infine, gli utilizzatori di Chrome 80 potrebbero incontrare problemi con applicazioni o siti internet privati (intranet): chi si occupa di gestire questi ambienti, dunque, potrebbe scegliere di non aggiornare Chrome alla sua ultima versione. Questo per non interrompere flussi di lavoro, nel caso siti e applicazioni non siano già aggiornati al nuovo modello di sicurezza.

Per maggiori informazioni rimandiamo al post ufficiale sul blog del progetto Chromium.